CVE-2026-45562 in FreePBX
Zusammenfassung
von VulDB • 28.09.2026
FreePBX ist ein Open-Source-IP-PBX. Vor den Versionen 16.0.4 und 17.0.6 enthält das FreePBX Music on Hold (MoH)-Modul einen kritischen Sicherheitsfehler, der es authentifizierten Angreifern ermöglicht, beliebige Systembefehle mit den Berechtigungen des Asterisk-Dienstes auszuführen. Eine Authentifizierung mit einem bestehenden FreePBX-Administratorkonto ist erforderlich. Die Ursache liegt darin, dass das Modul einen POST-Parameter akzeptiert, der eine benutzerdefinierte Asterisk-Anwendung definiert, die anschließend ohne jegliche Sanitisierung in der Datenbank gespeichert wird. Später werden diese Daten direkt in die Konfigurationsdatei musiconhold_additional.conf geschrieben, ebenfalls ohne Validierung. Da Asterisk diese Konfigurationsdatei liest und die angegebene Anwendung ausführt, kann ein Angreifer beliebige Befehle injizieren, die mit den Berechtigungen von Asterisk ausgeführt werden. Dieses Problem wurde in den Versionen 16.0.4 und 17.0.6 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.